我为什么要用轨道模糊我的记录的ID？

由于我使用惨惨的宝石，我检查，如果需要的纪录是由当前用户创建的，如果没有，我重定向到另一个动作..我为什么要用轨道模糊我的记录的ID？

那么，为什么它的重要加密ID，通过路径发送？

让它像这样简单是危险的问题吗？

http://www.mydomain.com/posts/5

2013-07-21 simo

我从来没有听说过任何人声称混淆id可以提高安全性。听起来像security through obscurity。

你能否引用声称id应该被混淆的来源？

2013-07-22 05:19:06

不，但我经常阅读试图加密ID的人的问题，我看到抽象的答案，没有任何解释他们为什么应该这样做.. – simo

@simo我认为如果你觉得你需要加密你的ID您的应用程序很安全，还有一些其他安全漏洞需要解决。只要查询字符串中的数据不敏感（社会安全号码，密码等），并且在请求数据时（确保当前用户有权查看与指定ID关联的数据）进行授权检查，则在查询字符串中加入ID不应该有问题。 –

查询字符串中的ID是用于记录在数据库中的ID，它们与用户的敏感数据无关，只有db ids .. – simo

回答